Verwerkersovereenkomst (DPA)

Laatst bijgewerkt: 2026-10-15

Deze verwerkersovereenkomst (“DPA”) maakt integraal deel uit van de Overeenkomst tussen Cleaniro (“Verwerker”) en de Klant (“Verwerkingsverantwoordelijke”). Ze regelt de verwerking van persoonsgegevens in opdracht van de Verwerkingsverantwoordelijke in het kader van de Diensten.

1. Onderwerp en duur

Deze DPA geldt voor de duur van de Overeenkomst en heeft betrekking op de verwerking van persoonsgegevens van de Eindgebruikers van de Verwerkingsverantwoordelijke (cleaners, managers, admins) binnen het Cleaniro-platform.

2. Aard en doel van de verwerking

De Verwerker verwerkt persoonsgegevens uitsluitend om de in de Overeenkomst beschreven Diensten te leveren: planning, tijdsregistratie, kwaliteitscontrole, rapportering en aanverwante functies voor operationeel beheer.

3. Categorieën van betrokkenen en persoonsgegevens

Betrokkenen:

Cleaners (werknemers of opdrachtnemers van de Verwerkingsverantwoordelijke)
Managers, team leaders, admins (personeel van de Verwerkingsverantwoordelijke)
Optioneel: eindklanten van de Verwerkingsverantwoordelijke (contactpersonen op de werklocaties)

Categorieën van persoonsgegevens:

Identiteit: naam, contactgegevens, functie
Tewerkstelling: planning, gewerkte uren, locaties
Tijdsregistratie: in- en uitklokken, pauzes
Locatie: GPS-coördinaten bij in- en uitklokken (indien geactiveerd)
Kwaliteit: inspectieresultaten, incidentmeldingen, foto’s
Authenticatie: gehashte wachtwoorden

Bijzondere categorieën: worden standaard niet door Cleaniro verwerkt. De Verwerkingsverantwoordelijke verbindt zich ertoe geen bijzondere categorieën van persoonsgegevens (gezondheid, levensbeschouwing, enz.) in te voeren, tenzij schriftelijk anders overeengekomen.

4. Verplichtingen van de Verwerker

De Verwerker zal:

Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook wat doorgiften naar derde landen betreft, tenzij een wettelijke verplichting anders voorschrijft.
Ervoor zorgen dat de personen die gemachtigd zijn om de gegevens te verwerken tot geheimhouding verplicht zijn.
Passende technische en organisatorische maatregelen nemen (zie Bijlage 1).
Subverwerkers enkel inschakelen onder de voorwaarden van artikel 7.
De Verwerkingsverantwoordelijke bijstaan bij het nakomen van zijn verplichtingen inzake de rechten van betrokkenen, beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen en raadplegingen van toezichthoudende autoriteiten.
De Verwerkingsverantwoordelijke zonder onredelijke vertraging (binnen 72 uur) op de hoogte brengen van elk datalek.
Na afloop van de Diensten, naargelang de keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens wissen of terugbezorgen, en bestaande kopieën verwijderen, tenzij een wettelijke bewaarplicht geldt.
Alle informatie ter beschikking stellen van de Verwerkingsverantwoordelijke die nodig is om de naleving aan te tonen, en audits mogelijk maken.

5. Verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke zal:

Ervoor zorgen dat hij over een rechtsgrond beschikt voor de verwerking van de persoonsgegevens.
De Eindgebruikers (cleaners, managers) informeren over de verwerking, met inbegrip van het gebruik van GPS waar van toepassing.
Zorgen voor naleving van het arbeidsrecht met betrekking tot tijdsregistratie en locatiemonitoring van werknemers.
Enkel persoonsgegevens aanleveren die nodig zijn voor de Diensten.
Geen bijzondere categorieën van persoonsgegevens invoeren zonder schriftelijke overeenkomst.

6. Rechten van betrokkenen

De Verwerker staat de Verwerkingsverantwoordelijke, door middel van passende technische en organisatorische maatregelen, bij in het beantwoorden van verzoeken van betrokkenen. De Verwerker bezorgt dergelijke verzoeken die hij rechtstreeks ontvangt zonder onredelijke vertraging aan de Verwerkingsverantwoordelijke.

7. Subverwerkers

De Verwerkingsverantwoordelijke geeft de Verwerker toestemming om de subverwerkers in te schakelen die vermeld staan op cleaniro.com/subprocessors.

De Verwerker zal:

Een actuele lijst openbaar toegankelijk houden
De Verwerkingsverantwoordelijke minstens 30 dagen vooraf informeren over voorgenomen toevoegingen of vervangingen
Subverwerkers gegevensbeschermingsverplichtingen opleggen die gelijkwaardig zijn aan die in deze DPA
Volledig aansprakelijk blijven voor de prestaties van subverwerkers

De Verwerkingsverantwoordelijke kan binnen 30 dagen bezwaar maken tegen wijzigingen; kan het bezwaar niet worden opgelost, dan kan de Verwerkingsverantwoordelijke de betrokken Dienst opzeggen.

8. Internationale doorgifte

De primaire verwerking vindt plaats binnen de Europese Economische Ruimte. Wanneer subverwerkers gegevens buiten de EER verwerken, steunt de Verwerker op:

Standaardcontractbepalingen (SCC’s) goedgekeurd door de Europese Commissie
Het EU-US Data Privacy Framework, waar van toepassing
Bijkomende technische en organisatorische maatregelen, waar nodig

9. Beveiligingsmaatregelen

Zie Bijlage 1.

10. Audits

De Verwerkingsverantwoordelijke kan, op eigen kosten en met een schriftelijke aankondiging van minstens 30 dagen, de naleving van deze DPA door de Verwerker laten auditen, maximaal eenmaal per kalenderjaar, behalve na een datalek. Audits moeten de vertrouwelijkheid en de operationele continuïteit van de Verwerker respecteren. Auditrapporten van derden (bijv. ISO 27001, SOC 2 zodra behaald) kunnen naar keuze van de Verwerker audits ter plaatse vervangen.

11. Aansprakelijkheid

De aansprakelijkheid wordt geregeld door de Overeenkomst. De aansprakelijkheidsbeperking geldt cumulatief voor de Overeenkomst en deze DPA.

12. Duur en beëindiging

Deze DPA eindigt automatisch bij beëindiging van de Overeenkomst. Artikel 4, punt 7 (verwijdering/teruggave) blijft van kracht na beëindiging.

13. Toepasselijk recht

Op deze DPA is het Belgisch recht van toepassing. Geschillen vallen onder de bevoegdheid van de rechtbanken van het arrondissement Antwerpen.

Bijlage 1 — Technische en organisatorische maatregelen

Versleuteling

TLS (versleutelde verbinding) in transit
AES-256 at rest (beheerd door Supabase)

Toegangscontrole

Gegevens van elk bedrijf gescheiden op databaseniveau (row-level security per bedrijf)
Toegangscontrole op basis van rollen (RBAC) binnen een bedrijf
Least privilege principle
Logboek van wijzigingen (o.a. uren, toegang en rollen, bedrijfsgegevens) dat gebruikers vanuit de app niet kunnen wijzigen of verwijderen

Infrastructuur

Database en primaire verwerking: Supabase EU (Frankfurt)
Hosting van de website en de app: Vercel (EU-regio Frankfurt, waar beschikbaar)
Dagelijkse automatische back-ups (door Supabase)

Operationeel

Opvolging en patching van kwetsbaarheden
Procedure voor incidentrespons
Geheimhoudingsverplichtingen voor alle medewerkers en subverwerkers
Jaarlijkse evaluatie van de maatregelen

Levenscyclus van gegevens

Gescheiden gegevens per tenant (Klant)
Exportperiode van 30 dagen na beëindiging
Volledige verwijdering binnen 90 dagen (behoudens wettelijke bewaartermijnen)

Bijlage 2 — Lijst van subverwerkers

Zie de actuele lijst op cleaniro.com/subprocessors (hieronder ook weergegeven zoals op de datum van ondertekening):

Subverwerker	Dienst	Locatie	Transfermechanisme
Supabase Inc.	Database, authenticatie, bestandsopslag, serverfuncties	EU (Frankfurt)	N.v.t. (binnen de EU)
Stripe Inc.	Betaalverwerking, facturatie, abonnementen	EU + VS	SCC’s + DPF
Vercel Inc.	Hosting van de website en de app	EU (Frankfurt), waar beschikbaar	SCC’s + DPF voor terugval naar de VS
Resend (Resend, Inc.)	Verzenden van e-mails vanuit de app en de website, vanaf het domein cleaniro.com (o.a. uitnodigingen, planningsmails, klantrapporten, demo-aanvragen)	Verenigde Staten	Standard Contractual Clauses (SCC’s)